Создание snapshot отчетов об обнаружении облака
Важно отправить журнал вручную и позволить Microsoft Defender для облачных приложений проанализировать его, прежде чем пытаться использовать автоматический сборщик журналов. Сведения о работе сборщика журналов и ожидаемом формате журнала см. в статье Использование журналов трафика для обнаружения в облаке.
Если у вас еще нет журнала и вы хотите просмотреть пример того, как должен выглядеть журнал, скачайте пример файла журнала. Следуйте приведенной ниже процедуре, чтобы увидеть, как должен выглядеть ваш журнал.
Чтобы создать отчет snapshot, выполните приведенные далее действия.
Соберите файлы журналов брандмауэра и прокси-сервера, через которые пользователи этой организации выходят в Интернет. Обязательно собирайте журналы во время пикового трафика, отражающие все действия пользователей в этой организации.
На портале Microsoft Defender в разделе Облачные приложения выберите Обнаружение облаков.
В правом верхнем углу растяните вниз Действия и выберите Создать Cloud Discovery snapshot отчет.
Нажмите кнопку Далее.
Введите имя отчета и описание.
Выберите Источник из которого вы хотите отправить файлы журнала. Если источник не поддерживается (полный список поддерживаемых брандмауэров и прокси-серверов см. в разделе Поддерживаемые брандмауэры и прокси-серверы ), можно создать пользовательское средство синтаксического анализа. Дополнительные сведения см. в разделе Использование настраиваемого средства синтаксического анализа журналов.
Проверьте, правильно ли отформатирован журнал в соответствии с образцом журнала, который вы можете скачать. В разделе Проверить формат журнала выберите Формат журнала а затем выберите Скачать образец журнала. Сравните свой журнал с предоставленным образцом, чтобы проверить, совместим ли он.
Примечание.
Пример формата FTP поддерживается в моментальных снимках и автоматической отправке, в то время как системный журнал поддерживается только в автоматической отправке. При скачивании образца журнала будет загружен образец журнала FTP.
Отправьте журналы трафика , которые вы хотите отправить. Вы можете отправить до 20 файлов одновременно. Также поддерживаются сжатые и заархивированные файлы.
Сбор и отправка журналов.
После завершения отправки в правом верхнем углу экрана появится сообщение о состоянии, сообщающее о том, что журнал успешно отправлен.
После отправки файлов журнала потребуется некоторое время для их разбора и анализа. После завершения обработки файлов журналов вы получите электронное письмо с уведомлением об этом.
В строке состояния в верхней части панели мониторинга Cloud Discovery появится баннер уведомления. Баннер информирует вас о состоянии обработки файлов журналов.
После успешной отправки журналов вы увидите уведомление о том, что обработка файла журнала успешно завершена. На этом этапе отчет можно просмотреть, щелкнув ссылку в строке состояния. Или на портале Microsoft Defender выберите Параметры.
Затем в разделе Cloud Discovery выберите Отчеты о моментальных снимках и выберите отчет snapshot.
Использование журналов трафика для обнаружения в облаке
Cloud Discovery использует данные в журналах трафика. Чем подробнее ваш журнал, тем лучше видимость. Для облачного обнаружения требуются данные веб-трафика со следующими атрибутами:
- Дата транзакции
- Исходный IP-адрес
- Исходный пользователь — настоятельно рекомендуется
- IP-адрес назначения
- Рекомендуемый URL-адрес назначения (URL-адреса обеспечивают более высокую точность обнаружения облачных приложений, чем IP-адреса)
- Общий объем данных (сведения о данных очень ценны)
- Объем отправленных или скачанных данных (предоставляет сведения о шаблонах использования облачных приложений).
- Предпринятое действие (разрешено или заблокировано)
Обнаружение в облаке не может отображать или анализировать атрибуты, которые не включены в журналы. Например, стандартный формат журнала брандмауэра Cisco ASA не содержит количество отправленных байтов на транзакцию, имя пользователя и целевой URL-адрес (только целевой IP-адрес). Поэтому эти атрибуты не будут отображаться в данных обнаружения облака для этих журналов, а видимость облачных приложений будет ограничена. Для межсетевых экранов Cisco ASA необходимо установить информационный уровень 6.
Чтобы успешно создать отчет об обнаружении облака, журналы трафика должны соответствовать следующим условиям:
- Поддерживаемый источник данных.
- Формат журнала соответствует ожидаемому стандартному формату (формат проверяется при загрузке инструментом журнала).
- События не старше 90 дней.
- Файл журнала действителен и содержит сведения об исходящем трафике.
Дальнейшие действия
Если у вас возникнут какие-либо проблемы, мы здесь, чтобы помочь. Чтобы получить помощь или поддержку по проблеме с продуктом, отправьте запрос в службу поддержки.